Hàng trăm ngàn trang WordPress bị tấn công do lỗ hổng REST API

Lỗ hổng zero-day nghiêm trọng trong WordPress đã được âm thầm xử lý trước khi tin tặc khai thác chúng. Để đảm bảo vấn đề an ninh cho hàng triệu website và người dùng, WordPress đã trì hoãn việc tiết lộ lỗ hổng trong hơn một tuần và làm việc sát sao với các tổ chức trong việc cài đặt bản vá.

Nhưng hàng trăm ngàn website vẫn không hề quan tâm đến vấn đề cập nhật và đã bị tin tặc tấn công. Lỗ hổng nằm trong thành phần WordPress API cho phép tin tặc xóa trang hoặc thay đổi nội dung trang rồi điều hướng khách truy cập tới các trang web độc hại.

Các nhà nghiên cứu cho biết tin tặc bắt đầu thực hiện tấn công chỉ trong 48 tiếng sau khi lỗ được tiết lộ. Ít nhất bốn chiến dịch đã tấn công vào các website chưa được vá. Tin tặc thay đổi thành công nội dung của hơn 66,000 trang web với thông điệp “Hacked by”.

Bên cạnh thay đổi giao diện (deface), tin tặc còn thực hiện chiến dịch SEO độc hại nhằm phát tán thư rác và đạt thứ hạng cao trong máy tìm kiếm.

Quản trị viên website được khuyến cáo cập nhật  lên phiên bản WordPress 4.7.2 trước khi trở thành đối tượng bị tin tặc tấn công.

THN